Cómo establecer un tiempo de espera de inactividad en Windows usando PowerShell

Bloquear un ordenador tras un tiempo de espera de inactividad es una medida de seguridad esencial que todo profesional informático reconoce. Especialmente en entornos compartidos o públicos, esto garantiza que una estación de trabajo desatendida no se convierta en una puerta abierta para actividades maliciosas. PowerShell, la columna vertebral de muchas operaciones de TI en entornos Windows, proporciona una forma versátil de establecer un tiempo de espera de inactividad. 

Antecedentes

Los tiempos de espera por inactividad no sólo tienen que ver con la seguridad, sino también con la gestión de recursos. Los profesionales de TI y los proveedores de servicios gestionados (MSP) suelen implantar estas funciones para ahorrar energía, reducir el desgaste del hardware y como capa inicial de seguridad. El script proporcionado profundiza en el ámbito de la automatización de este proceso, adoptando un enfoque que te permite configurarlo y olvidarte.

El script para establecer un tiempo de espera de inactividad en Windows

#Requires -Version 5.1

<#
.SYNOPSIS
    Set the Inactivity(Lock Computer) timeout time if it already isn't set.
.DESCRIPTION
    Set the Inactivity(Lock Computer) timeout time if it already isn't set.
    Can be set regardless if the -Force parameter is used.
.EXAMPLE
     -Minutes 5
    This set the Inactivity(Lock Computer) timeout to 5 minutes, does not change if already set.
.EXAMPLE
     -Minutes 5 -Force
    This set the Inactivity(Lock Computer) timeout to 5 minutes, and forces the change if already set.
.EXAMPLE
    PS C:> Set-IdleLock.ps1 -Minutes 5
    This set the Inactivity(Lock Computer) timeout to 5 minutes
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes: Renamed script and added Script Variable support, updated Set-ItemProp
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
.COMPONENT
    LocalUserAccountManagement
#>

[CmdletBinding()]
param (
    [Parameter()]
    [int]$Minutes,
    [switch]$Force = [System.Convert]::ToBoolean($env:force)
)

begin {
    if ($env:minutes -and $env:minutes -notlike "null") {
        $Minutes = $env:minutes
    }
    
    if(-not ($Minutes)){
        Write-Error "Minutes is required!"
        exit 1
    }

    if($Minutes -gt 9999 -or $Minutes -lt 0){
        Write-Error "Minutes must be between 0 and 9999 (including 0 and 9999)."
        exit 1
    }

    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        if ($p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator))
        { Write-Output $true }
        else
        { Write-Output $false }
    }
    function Set-ItemProp {
        param (
            $Path,
            $Name,
            $Value,
            [ValidateSet("DWord", "QWord", "String", "ExpandedString", "Binary", "MultiString", "Unknown")]
            $PropertyType = "DWord"
        )
        # Do not output errors and continue
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::SilentlyContinue
        if (-not $(Test-Path -Path $Path)) {
            # Check if path does not exist and create the path
            New-Item -Path $Path -Force | Out-Null
        }
        if ((Get-ItemProperty -Path $Path -Name $Name)) {
            # Update property and print out what it was changed from and changed to
            $CurrentValue = Get-ItemProperty -Path $Path -Name $Name
            try {
                Set-ItemProperty -Path $Path -Name $Name -Value $Value -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "$Path$Name changed from $CurrentValue to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        else {
            # Create property with value
            try {
                New-ItemProperty -Path $Path -Name $Name -Value $Value -PropertyType $PropertyType -Force -Confirm:$false -ErrorAction Stop | Out-Null
            }
            catch {
                Write-Error $_
            }
            Write-Host "Set $Path$Name to $(Get-ItemProperty -Path $Path -Name $Name)"
        }
        $ErrorActionPreference = [System.Management.Automation.ActionPreference]::Continue
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    
    $Path = "HKLM:SOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem"
    $IdleName = "InactivityTimeoutSecs"
    $Seconds = $Minutes * 60
    # Override "Check if already set"
    if (-not $Force) {
        # Check if already set
        if ($(Get-ItemProperty -Path $Path | Select-Object -Property $IdleName -ExpandProperty $IdleName -ErrorAction SilentlyContinue)) {
            $CurrentIdleSeconds = $(Get-ItemPropertyValue -Path $Path -Name $IdleName)
            # If value already set, do nothing.
            if ($CurrentIdleSeconds) { exit 0 }
        }
    }

    # Sets InactivityTimeoutSecs to $Minutes
    try {
        Set-ItemProp -Path $Path -Name $IdleName -Value $Seconds
        Write-Host "Set the Inactivity to $($Seconds/60) minutes."
    }
    catch {
        Write-Error $_
        exit 1
    }
}
end {
    
    
    
}

 

Análisis detallado

Este script PowerShell tiene como objetivo establecer un tiempo de espera de inactividad en Windows. Así es como funciona:

• Requisitos previos: el script comienza mencionando que requiere al menos la versión 5.1 de PowerShell.
• Parámetros: se establecen dos parámetros: $Minutes, que es obligatorio y denota la duración después de la cual el ordenador debe bloquearse, y $Force que, cuando se utiliza, fuerza el tiempo de espera de inactividad, incluso si ya está establecido.

Funciones:

• Test-IsElevated: comprueba si el script se ejecuta con privilegios de administrador.
• Set-ItemProp: se encarga de la creación o modificación de la clave de registro.

Bloque de proceso:

• Comprobación inicial: verifica que el usuario tiene los privilegios necesarios.
• Ruta de registro: dirige a la ubicación donde se establece el tiempo de espera de inactividad.
• Comprobación de estado: si no se utiliza el modificador -Force, comprueba si el tiempo de espera de inactividad ya está establecido. Si se establece, sale sin realizar cambios.
• Configuración del tiempo de espera de inactividad: si se cumplen las condiciones, se establece o modifica el tiempo de inactividad.

Posibles casos de uso

Imagina que trabajas en el laboratorio informático público de una universidad. Varios alumnos utilizan estos ordenadores a lo largo del día. Para garantizar la confidencialidad del trabajo de cada alumno, el departamento de TI podría utilizar este script. Estableciendo un tiempo de inactividad de, por ejemplo, 5 minutos, se aseguran de que si un estudiante se olvida de cerrar la sesión, el sistema se bloquea automáticamente, impidiendo el acceso no autorizado.

Comparaciones

Aunque existen métodos GUI para establecer un tiempo de espera de inactividad, como a través del panel de control de Windows, este script proporciona una ventaja en escalabilidad. Para despliegues masivos en numerosos ordenadores, es más eficiente utilizar un script como éste. Además, otros métodos pueden implicar la configuración de directivas de grupo, pero carecen de la granularidad y la aplicación rápida que puede ofrecer un script de PowerShell.

FAQ

• ¿Por qué utilizar PowerShell para esta tarea?
  PowerShell permite la automatización, escalabilidad e implantación rápida, especialmente en varios sistemas.
• ¿Son siempre necesarios los privilegios de administrador?
  Sí, para modificar la configuración del sistema, como los tiempos de inactividad, son esenciales los privilegios de administrador.
• ¿Se puede fijar el tiempo de espera de inactividad para periodos más largos?
  Este script permite establecer el tiempo de espera hasta 9999 minutos, pero es esencial encontrar un equilibrio entre usabilidad y seguridad.

Implicaciones

Aunque el propósito inmediato es mejorar la seguridad, un tiempo de inactividad incorrecto puede interrumpir el trabajo, especialmente si se fija demasiado corto. Por otro lado, un tiempo de espera demasiado largo podría comprometer la seguridad. Además, los ajustes de inactividad se vuelven críticos en entornos de alta seguridad, donde dejar un endpoint desbloqueado puede tener consecuencias graves.

Recomendaciones

• Haz pruebas antes de aplicarlo: ejecuta siempre los scripts en un entorno de prueba antes de desplegarlos ampliamente.
• Equilibra la seguridad con la usabilidad: aunque los tiempos de espera más cortos son más seguros, no deben entorpecer las tareas diarias.
• Mantente al día: revise y ajusta periódicamente los tiempos de inactividad según las necesidades de la organización.

Reflexiones finales

NinjaOne ofrece una solución completa de supervisión y gestión de TI, y cuando se integra con scripts como éste, proporciona un control sólido sobre un entorno de TI. Si estás pensando en establecer un tiempo de espera de inactividad o gestionar otros aspectos de tu infraestructura de TI, NinjaOne es un socio fiable para garantizar operaciones eficientes, seguras y optimizadas.